这张表大部分写着“从不”。
保留策略是唯一可以对照现实检查的隐私声称，因为记录要么存在，要么不存在。以下是完整列表，包括对我们不利的条目。
原则，姑且这么说
这些都不聪明。我们弄清楚了服务真正无法运行所需哪些记录，然后停止收集其他所有数据。
从未写入的数据不可能被生成、传唤、泄露或出售。
每条日志都必须回答一个问题：如果它不存在，会发生什么故障？控制面板访问日志可以存活，因为账户被盗是真实事件，七天时间足以发现一起。流记录则无法存活，因此整个网络中的路由器都没有配置导出任何流记录。
第二条规则是，保留期限由定时器触发，而不是依靠自觉。删除是定时任务，对生产环境和每一个已超过自身保留窗口的备份世代执行。没有人需要记住去清理任何东西，这很幸运，因为没有人会记得。
数据表
由删除任务所读取的同一份配置生成。
| 数据 | 保留期 | 存在原因 | 删除方式 |
|---|---|---|---|
| 电子邮件地址 | 账户存续期间 | 密码重置和发票发送 | 关闭账户后一小时内覆盖 |
| 密码哈希 | 账户存续期间 | scrypt，带随机盐，永远不可逆 | 关闭账户时覆盖 |
| 会话记录 | 14天，或直到注销 | 保持登录状态并允许你注销某个设备 | 到期删除，每小时清理一次 |
| 恢复码 | 直至使用或重新生成 | 唯一的账户恢复途径 | 哈希存储；重新生成时丢弃哈希 |
| 控制面板访问日志 | 7天 | 检测账户被盗 | 删除行；地址已经过截断 |
| API令牌元数据 | 令牌存续期间 | 作用域、前缀、最后使用时间、过期时间 | 随令牌一起删除 |
| 发票记录 | 24个月 | 让你能够证明购买了什么以及何时购买 | 在周年清理时删除 |
| 加密货币支付参考 | 直至发票结算 | 将支付与发票匹配 | 结算时清除，同一事务 |
| 支持工单 | 关闭后90天 | 在问题仍然存续时保证连续性 | 帖子和附件一并删除 |
| 滥用报告 | 12个月 | 识别重复投诉者或重复违规者 | 与投诉者详细信息一并删除 |
| 计费数据库备份 | 30天滚动 | 从我们自己的错误中恢复 | 世代过期并缩减卷 |
| 控制台会话元数据 | 7天 | 知道隧道已打开，不关心其内容 | 与访问日志一并删除 |
| 实例流量 | 从不记录 | 我们转发数据包而非读取它们 | 没有任何可删除的内容 |
| DNS 查询 | 从不记录 | 解析器答完即忘 | 没有任何可删除的内容 |
| 注册时使用的网络地址 | 从不记录 | 应用中没有对应的列 | 没有任何可删除的内容 |
| 快照和备份内容 | 只要您保留它们 | 在离开实例前已用您的密钥加密 | 我们保存密文和长度 |
面板中的账户页面以您的实际数值显示同一列表，并为每个计时器附带实时倒计时。该页面未列出的任何内容均不会存储在我们的磁盘上。
任何时候都不会写入的内容
更短的列表更为重要。这些并非短期保留，而是完全缺失。
实例的流量
无流量导出、无采样、无数据包捕获、无任何深度的检查。路由器仅按端口计数字节以进行容量规划，对构成这些字节的数据包一无所知。
注册时使用的网络地址
Web 层不会将其转发给应用程序，应用程序也没有地方存储它。面板访问日志仅保留截断的前缀七天，绝不保留完整地址。
DNS 查询
我们的解析器答完即忘。查询日志已在配置中关闭，而且该配置同样分发到全部三十四个站点。
控制台会话
串行和 VNC 通过不记录任何内容的经过身份验证的隧道运行。我们知道会话的打开和关闭，但屏幕上的内容属于您。
实例内容
磁盘、内存、快照。备份和快照在实例内加密后才会离开实例，因此存储在我们存储上的只是带有长度的密文。
任何第三方的内容
无分析、无广告像素、无标签管理器、无外部托管字体。您正在阅读的页面仅向我们的服务器发起请求，不会向任何人请求。您可以通过网络标签在约四秒钟内确认这一点。
删除的实际过程
- 01
计时器触发
每小时按类别针对主数据库和对象存储同时执行一次。
- 02
删除行而非标记
删除即消失，墓碑不含任何负载。正因如此，软删除列已在平台修订 5.1 中从架构中移除。
- 03
备份过期
计费备份以三十天为窗口滚动，因此今天删除的记录最多会在备份代次中再存活三十天。该窗口之后没有归档、没有磁带、没有冷拷贝。
- 04
日志保留在本机
主机日志不会传输到任何地方。每台机器自行轮转日志，轮转时是截断而不是上传。
- 05
关闭即完成
关闭账户后，地址、哈希、会话和令牌在一小时内删除。发票记录服务完二十四个月，但不会附带任何可识别信息。
短期保留不能做到的事情
几乎什么都不保留可保护您免受我们的侵害、免受对我们提出的请求的侵害，以及免受我们未来可能遭遇的数据泄露的影响。但这对于您与实例之间的网络毫无作用，这些网络观察着从未经过我们的流量；同时，对于您自己的软件在您自己的磁盘上写入的内容也无能为力。
随之而来的是两个实际后果。你的应用程序日志属于你自己，它们存放在你的存储上，除非你关闭记录，否则它们会忠实地记录你所服务的每一位访客的地址。运行中实例的快照同样包含那一刻内存和磁盘上的所有内容，并用你的密钥而非我们的密钥加密，这是对针对我们的保护，而对密钥若随意放在密码管理器中则毫无保护。
最好在这里这样说，而不是让满是“从不”的表格暗示比实际更多的内容。